AmneziaWG 2.0 ist in keiner kommerziellen VPN-App eingebaut, weshalb der einzige Weg, es heute zu nutzen, das eigene Hosting ist. Wer schon mal einen VPS für ein anderes Projekt eingerichtet hat, wird sich hier schnell zurechtfinden, auch technisch weniger versierte Nutzer schaffen es mit dieser Anleitung in der Regel beim ersten Versuch. Das klingt technischer, als es ist. Die AmneziaVPN-App übernimmt fast die komplette Server-Einrichtung, sofern ein VPS und etwa zwanzig Minuten Zeit vorhanden sind. Diese Anleitung führt durch den gesamten Prozess, von der Server-Miete bis zur Verbindung des ersten Geräts.
Für den Hintergrund, was AmneziaWG 2.0 eigentlich macht und warum das zählt, lohnt sich zuerst unser Erklärartikel Was ist AmneziaWG 2.0. Diese Anleitung ist die praktische Fortsetzung.
Was vor dem Start gebraucht wird
Ein VPS (virtueller privater Server). Jeder Anbieter mit Root-SSH-Zugang funktioniert: DigitalOcean, Hetzner, Vultr und ähnliche Budget-Anbieter tauchen häufig in Amnezias eigenen Community-Anleitungen auf. Ein Standort außerhalb des Landes wählen, in dem die Zensur umgangen werden soll, denn ein Server innerhalb einer stark überwachten Jurisdiktion untergräbt einen Teil des Zwecks.
SSH-Zugangsdaten. Benötigt werden die IP-Adresse des Servers, der Root-Benutzername und entweder ein Passwort oder ein SSH-Schlüssel, je nachdem, was der VPS-Anbieter bei der Einrichtung bereitgestellt hat.
Die AmneziaVPN-App, heruntergeladen von Amnezias offizieller Website oder dem App-Store-Eintrag für die jeweilige Plattform (Windows, macOS, Linux, iOS oder Android). Version 4.8.12.9 oder neuer wird vorausgesetzt, ältere Versionen unterstützen AmneziaWG 2.0 nicht.
Schritt 1: Einen VPS mieten
Bei einem VPS-Anbieter anmelden und die günstigste verfügbare Instanz starten. AmneziaWG braucht keine große Rechenleistung, ein Tarif für 5 bis 6 $ im Monat mit 1 vCPU und 1 GB RAM reicht für den persönlichen Gebrauch mit einer Handvoll Geräten. Ein Standard-Ubuntu- oder Debian-Image wählen, da diese vom automatisierten Setup-Skript von Amnezia am zuverlässigsten unterstützt werden.
Die öffentliche IP-Adresse des Servers notieren, sobald er läuft. Sie wird im nächsten Schritt gebraucht.
Schritt 2: Die AmneziaVPN-App mit dem Server verbinden
Die AmneziaVPN-App öffnen und die Option zur Einrichtung eines selbst gehosteten Servers wählen (je nach App-Version manchmal als “eigenen Server verbinden” oder ähnlich bezeichnet). Die IP-Adresse des VPS und die SSH-Zugangsdaten eingeben (Root-Benutzername plus Passwort oder Schlüssel).
Die App verbindet sich per SSH und installiert die nötige Server-Software automatisch. Manuelle Installationsbefehle auf dem VPS sind nicht nötig, der Setup-Assistent der App übernimmt die Paketinstallation im Hintergrund.
Schritt 3: AmneziaWG als Protokoll wählen
Während der Einrichtung fragt die App, welche Protokolle auf dem Server installiert werden sollen. AmneziaVPN unterstützt mehrere, darunter OpenVPN, Standard-WireGuard, Shadowsocks und AmneziaWG. AmneziaWG auswählen und sicherstellen, dass Version 2.0 statt des ursprünglichen AmneziaWG bereitgestellt wird, falls die App diese Auswahl explizit anbietet (das hängt von der App-Version ab, im Zweifel Amnezias Release-Notes prüfen).
Mehrere Protokolle lassen sich auf demselben Server installieren, wenn eine Ausweichoption gewünscht ist. Das lohnt sich, wenn aktiv getestet wird, welches Protokoll an einem bestimmten Ort am zuverlässigsten durchkommt.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Schritt 4: Die App die Client-Konfiguration erstellen lassen
Nach Abschluss der serverseitigen Installation erstellt die App automatisch ein Client-Konfigurationsprofil für das aktuell genutzte Gerät. Das umfasst Schlüssel und Verbindungseinstellungen, Konfigurationsdateien müssen nicht manuell erstellt oder bearbeitet werden.
Für weitere Geräte lässt sich die Konfiguration in den meisten App-Versionen als QR-Code oder .conf-Datei exportieren und anschließend in die AmneziaVPN-App (oder einen kompatiblen WireGuard-Client) auf anderen Geräten importieren.
Schritt 5: Die Verbindung testen
Über die App verbinden und prüfen, ob der Datenverkehr tatsächlich über den eigenen Server läuft. Ein schneller Weg, das zu bestätigen: die IP-Adresse vor und nach der Verbindung prüfen (jede “Wie ist meine IP”-Seite funktioniert) und sicherstellen, dass sie zum Standort des VPS passt statt zum echten Standort.
Wer das speziell für Zensurresistenz testet, für den ist der aussagekräftigere Test, ob normalerweise blockierte Seiten und Dienste am eigenen Standort erreichbar sind. Vorsichtig testen und sich vorher über die eigene rechtliche Situation vor Ort bewusst sein.
Häufige Probleme beheben
Verbindung läuft bei der Einrichtung in ein Timeout. SSH-Zugangsdaten doppelt prüfen und sicherstellen, dass der VPS-Anbieter eingehende SSH-Verbindungen von unbekannten IPs nicht standardmäßig blockiert (manche Anbieter verlangen, zuerst die eigene IP auf eine Whitelist zu setzen).
Die App erreicht den Server nach der Installation nicht. Prüfen, ob die Firewall des VPS die von AmneziaWG genutzten Ports blockiert. Die meisten VPS-Anbieter liefern standardmäßig eine freizügige Firewall, manche verwalteten Images sind aber von Haus aus abgeriegelt.
Der Datenverkehr wird nicht tatsächlich umgeleitet. Die App neu starten und neu verbinden. Bleibt das Problem bestehen, das Profil löschen und über den Einrichtungsbildschirm für selbst gehostete Server neu erstellen, Konfigurationsabweichungen nach einem App-Update sind die häufigste Ursache.
Den richtigen VPS-Anbieter wählen
Nicht jeder VPS-Anbieter eignet sich gleich gut für diesen Zweck. Ein paar Punkte vor der Buchung:
Standortoptionen. Ein Rechenzentrum außerhalb des Landes wählen, in dem Zensur umgangen werden soll, idealerweise mit vertretbarer Netzwerklatenz zum eigenen Standort, denn ein Server auf einem anderen Kontinent bringt spürbare Verzögerung, selbst bei einem schnellen Protokoll.
Anonymität bei der Bezahlung, sofern das für das eigene Bedrohungsmodell relevant ist. Manche VPS-Anbieter akzeptieren Kryptowährung, was die Server-Miete stärker von der echten Identität entkoppelt als eine Kreditkarte. Wenn der Grund für das Selbst-Hosting von AmneziaWG ein echtes persönliches Risiko einschließt, lohnt sich diese Überlegung vor der Anmeldung statt danach.
Ein sauberer IP-Ruf. Günstige VPS-Anbieter nutzen manchmal IP-Adressen wieder, die von einem früheren Mieter bereits wegen Missbrauchs markiert wurden. Ist die IP des neuen Servers bereits irgendwo auf einer Sperrliste, geht Zeit für die Fehlersuche drauf, obwohl das Problem nichts mit der eigenen AmneziaWG-Konfiguration zu tun hat.
Sicherheitshärtung nach der Einrichtung
AmneziaWG ans Laufen zu bringen ist der erste Schritt, nicht der letzte. Ein paar Dinge, die sich nach dem Livegang lohnen:
Passwortbasiertes SSH-Login deaktivieren und auf schlüsselbasierte Authentifizierung umsteigen. Die anfängliche Einrichtung der AmneziaVPN-App nutzt oft Passwort-Auth zum Start, wird das aber danach beibehalten, bietet das jedem, der die IP des Servers findet, ein einfaches Ziel für Brute-Force-Versuche.
Das zugrunde liegende Betriebssystem aktuell halten. AmneziaVPN kümmert sich um die VPN-Software selbst, aber das darunterliegende Ubuntu- oder Debian-Image braucht wie jeder andere Server, für den man verantwortlich ist, weiterhin regelmäßige Sicherheitsupdates.
SSH-Zugang auf die eigene IP beschränken, sofern diese statisch ist, oder Firewall-Regeln des VPS-Anbieters nutzen, um einzugrenzen, welche Adressen überhaupt eine Verbindung versuchen dürfen. Das schließt den Großteil des opportunistischen Scan-Verkehrs bereits aus, bevor er den Login-Prompt überhaupt erreicht.
Lohnt sich der Aufwand des Selbst-Hostings
Für die meisten, nein, nicht für den Alltag. Ein kommerzielles VPN mit obfuskierten Servern, etwa die Optionen im Vergleich zum besten unabhängig auditierten No-Logs-VPN, ist schneller eingerichtet und verlangt keine Verantwortung für Server-Wartung oder den Ruf der eigenen IP. Das Selbst-Hosten von AmneziaWG lohnt sich am meisten, wenn eine aktive DPI-basierte Blockade das aktuelle VPN bereits aushebelt, oder wenn schlicht die volle Kontrolle über die eigene Infrastruktur gewünscht ist, statt den Versprechen eines Anbieters zu vertrauen.
Die Einrichtung von AmneziaWG 2.0 dauert etwa zwanzig Minuten, sofern bereits ein VPS vorhanden ist, und die AmneziaVPN-App nimmt den Großteil der manuellen Konfigurationsarbeit ab. Das richtige Projekt für alle, die mit aktiver DPI-Blockade konfrontiert sind oder eine selbst gehostete Alternative außerhalb des kommerziellen VPN-Markts suchen. Für alle anderen bleibt ein kommerzielles VPN mit eingebauter Obfuskierung die schnellere, wartungsärmere Wahl.
Weiterlesen: VPN auf einem OpenWrt-Router einrichten und Obfuskierte VPN-Server erklärt